В одной системе всё выглядит спокойно: антивирус установлен, обновления стоят, значок в трее не мигает. Потом вдруг UI-процесс защиты начинает вести себя странно, а рядом появляются неподписанные библиотеки и лишние процессы. Именно такие сценарии показал исследователь Nightmare Eclipse в серии PoC-эксплойтов для защитного ПО.

Что произошло и почему это важно

Речь не о массовой атаке на обычных пользователей, а о демонстрации слабых мест в популярных средствах защиты. В фокусе — два PoC: HardBreacher для Kaspersky Endpoint Security и PrettyPrague для Avast Antivirus.

Оба примера интересны не только самим фактом уязвимости. Они показывают, как атакующий может использовать доверенные механизмы системы против самой защиты — от подмены загрузки DLL до манипуляций с песочницей и процессами интерфейса.

Как это работает технически

В случае HardBreacher атака строится вокруг подмены путей и загрузки библиотек. Эксплойт создаёт в пользовательской директории поддельное дерево Windows\System32, размещает там hardlink на безобидный файл и на короткое время перенаправляет путь C: через объекты DosDevices в собственной сессии.

Дальше процесс avpui.exe запускается в приостановленном виде с подменённым родителем. Когда он возобновляется, система подхватывает не ту DLL, которую ждёт защитное ПО, а библиотеку атакующего из %TEMP%. В результате UI-компонент антивируса загружает неподписанный код и теряет контроль над частью собственного поведения.

В PrettyPrague логика другая. Там исследователь бьёт по механизму файловой виртуализации песочницы Avast и пытается добраться до базы SAM, чтобы получить системные привилегии. Если упрощать, PoC заставляет защитный продукт работать против самого себя: он использует собственные механизмы изоляции и подмены файлов как ступеньку к повышению прав.

Чем это опасно для пользователя и компании

Для домашнего компьютера такой сценарий опасен тем, что защита перестаёт быть надёжной точкой опоры. Если атакующий получает высокий уровень привилегий, он может отключить уведомления, скрыть следы, вытащить данные учётных записей или подготовить дальнейшую атаку.

Для компании риск шире. Компрометация антивирусного компонента даёт злоумышленнику шанс обойти доверенные механизмы контроля, а это уже затрагивает не один ПК, а целый парк рабочих станций. Именно поэтому в таких кейсах важны не названия конкретных файлов, а поведенческие признаки.

Подобную логику хорошо видно и в других инцидентах с сильной технической составляющей — например, в разборе ИИ помогает искать уязвимости, а патчи всё ещё запаздывают и в материале Как проверить Android-приставку на скрытые угрозы и бэкдоры, где тоже важны не названия угроз, а следы их поведения.

Как понять, что это может касаться вас

Обычный пользователь редко увидит атаку в лоб. Но есть признаки, которые нельзя игнорировать: антивирусный интерфейс не открывается, уведомления пропадают, в журнале появляются странные загрузки DLL, а процессы защиты запускаются не так, как обычно.

В корпоративной среде стоит смотреть шире: на необычные цепочки запуска, неподписанные библиотеки внутри каталога защитного ПО, резкие смены родительских процессов и попытки создать объекты в системных пространствах имён. По отдельности такие события могут ничего не значить, но в связке они складываются в нормальный детект.

Что делать и как защититься

Главный вывод из этих PoC простой: антивирус нельзя считать неприкосновенным только потому, что он стоит на компьютере. Его тоже нужно обновлять, мониторить и проверять на аномалии, как любой другой критичный софт.

Если вы работаете в компании, полезно включить контроль загрузки библиотек, аудит запусков процессов и корреляцию событий по Sysmon и журналам Windows Security. Отдельно следите за тем, чтобы у защитного ПО были актуальные патчи и не было лишних исключений.

Для тех, кто часто подключается к открытым Wi‑Fi в аэропортах, кафе и поездах, стоит дополнительно подумать о приватности соединения. В таком сценарии помогает аккуратная защита трафика дома и в дороге, но сама по себе она не заменяет обновления, антивирус и базовую гигиену устройства.

Практический чек-лист

  • Проверьте, установлены ли последние обновления защитного ПО.
  • Убедитесь, что антивирусные процессы запускаются без ошибок и предупреждений.
  • Посмотрите журналы Windows Security и Sysmon на странные цепочки запуска.
  • Отслеживайте загрузку неподписанных DLL внутри каталогов защитного ПО.
  • Ограничьте лишние права локальных пользователей на рабочих станциях.
  • Проверьте, не отключены ли уведомления и службы защиты.
  • В публичных сетях используйте отдельные профили доступа и не открывайте важные сервисы на незнакомых устройствах.
Поделиться: